On nous répète depuis des mois que les emails de phishing bourrés de fautes d'orthographe et de designs approximatifs appartiennent au passé, grâce à l’essor de l’IA qui rend le faux plus vrai que vrai. EvilTokens apporte une démonstration un peu différente, mais tout aussi éloquente, du chemin parcouru par cet artisanat criminel. 

EvilTokens est un kit de Phishing-as-a-Service (que l’on appelle aussi PhaaS – en somme il s’agit de kit d’arnaque prêt à l’emploi proposé sur le dark web aux criminels) conçu pour compromettre les comptes Microsoft 365 en exploitant le flux « device authorization grant » d'OAuth 2.0. Les attaques qui s'appuient sur ce kit relèvent du device code phishing : elles contournent le besoin de répliques convaincantes de pages de connexion sur lesquelles les victimes saisiraient leur mot de passe. À la place, les attaquants amènent la victime à accomplir un processus d'authentification légitime, authentification multifacteur comprise, sur une véritable page Microsoft. 

Le kit est proposé à la vente via des canaux Telegram et a été observé en conditions réelles depuis février 2026 au moins. Comme l'ont documenté Sekoia et d'autres chercheurs, il semble avoir été rapidement adopté par les cybercriminels, déployé dans plusieurs campagnes de prise de contrôle de comptes et de Business Email Compromise (BEC). L'une d'elles, en mars 2026, a ciblé plus de 340 organisations dans plusieurs pays. Microsoft a également décrit une campagne assistée par IA qui générait dynamiquement des codes de dispositif et des leurres personnalisés pour accroître le taux de succès des attaques EvilTokens. 

Quel est le fonctionnement d'une attaque EvilTokens 

Le flux OAuth device code a été pensé pour les appareils difficiles à authentifier directement, téléviseurs connectés ou imprimantes. L'appareil affiche un code court que l'utilisateur saisit sur une page Microsoft depuis un autre terminal, souvent un smartphone, pour y finaliser l'authentification. Microsoft délivre ensuite des jetons d'accès au dispositif demandeur. 

Cette dissociation est utile, mais elle ouvre une brèche. L'attaquant peut générer le code et amener la victime à le saisir, tandis que Microsoft ne voit qu'un flux d'authentification valide. L'entreprise affiche bien un avertissement au moment de la connexion, invitant l'utilisateur à ne pas saisir de code provenant de sources non fiables. Un leurre suffisamment convaincant suffit hélas à faire baisser la garde de la victime. 

Et c'est là que le bât blesse. EvilTokens gomme la plupart des signaux d'alerte que l'on a appris à repérer au fil des ans : noms de domaine mal orthographiés, pages de connexion factices. La page de connexion est authentique, et du point de vue de la victime, l'ensemble du processus semble se dérouler normalement. 

L'attaque brouille aussi les cartes en matière d'authentification multifacteur. Cette seconde couche de sécurité n'a jamais été aussi précieuse, mais elle atteint ses limites quand la victime valide la mauvaise session. Ici, les attaquants ne contournent pas la MFA par une prouesse technique : ils dupent simplement la victime pour qu'elle l'exécute à leur place. 

Qu’est-ce qui rend EvilTokens dangereux ? 

Les conseils classiques de protection contre le phishing ne peuvent plus s'arrêter à « vérifiez l'URL », et encore moins à « repérez les fautes d'orthographe ». Ces réflexes restent utiles, naturellement, mais ils ne tiennent plus face aux attaques modernes, en particulier celles qui détournent des flux d'authentification réels. 

Comment réduire le risque ? 

L'attaque proprement dite est précédée d'une phase de reconnaissance : les malfaiteurs vérifient d'abord que le compte cible est actif. Microsoft a constaté que cette reconnaissance intervient 10 à 15 jours avant la tentative de phishing. 

La victime reçoit un email ou un message souvent déguisé en facture, document partagé, invitation de calendrier ou demande d'accès SharePoint. Le leurre utilise une page écran imitant une marque ou un service de confiance, accompagnée d'un texte simple : « Vérifier pour afficher » ou « Signature requise ». 

Lorsque la victime clique, la page sollicite un code de dispositif auprès de Microsoft. Ce code n'est valable que 15 minutes, ce qui rend le facteur temps crucial. La page affiche le code à la victime et la redirige vers le portail de connexion légitime microsoft.com/devicelogin. Piège : le code appartient à la session de l'attaquant. La victime autorise donc, sans le savoir, le dispositif de l'attaquant, pas le sien. 

Constatant une authentification valide, Microsoft délivre des jetons d'accès et d'actualisation à la session ouverte par l'attaquant. Une fois à l'intérieur, les criminels accèdent aux emails professionnels, fichiers, Teams, SharePoint, OneDrive et autres ressources Microsoft 365, exfiltrent des données ou préparent des attaques BEC. Les comptes financiers, RH, logistiques et commerciaux concentrent logiquement leur intérêt. 

Quelques conseils pour se protéger : 

Traitez toute demande inattendue de code d'authentification comme suspecte. Aucun document, aucune facture, aucun email ni aucune plateforme ne devrait vous demander un code de dispositif sans raison claire. Si la demande survient de nulle part, signalez-la à votre équipe informatique ou sécurité. 

Le contexte importe plus que la page. Avant d'approuver une demande de connexion, vérifiez quelle application sollicite l'accès, quel compte est concerné et si c'est bien vous qui avez initié l'action. Une page Microsoft authentique ne rend pas une demande automatiquement sûre. 

Les organisations devraient bloquer le flux device code là où il n'est pas nécessaire. Microsoft recommande d'appliquer des politiques d'accès conditionnel pour le désactiver partout où il n'a pas lieu d'être et le restreindre à des utilisateurs, appareils, localisations ou systèmes d'exploitation spécifiques. 

Surveillez les authentifications par code de dispositif inhabituelles, les appareils inconnus, les connexions à risque, les utilisations suspectes de jetons et les nouvelles règles de boîte de réception : chacun de ces signaux peut trahir une compromission. 

La sensibilisation à la sécurité doit évoluer au rythme des techniques des attaquants. Les employés doivent comprendre que le phishing moderne ne passe pas toujours par la saisie d'un mot de passe sur une fausse page. L'attaquant peut leur demander de saisir un vrai code sur une vraie page, mais pour le mauvais appareil. 

Tout employé recevant une demande de code de dispositif inattendue doit alerter ses équipes informatiques ou sécurité. Celles-ci devront examiner les journaux de connexion, révoquer les sessions et les jetons d'actualisation, supprimer les règles de boîte malveillantes et désactiver temporairement le compte compromis. 

EvilTokens nous rappelle que les attaquants n'ont pas toujours besoin de fracturer la porte d'entrée ou de voler la clé. Parfois, il leur suffit de convaincre quelqu'un de l'ouvrir.